기술 요약: 행간 읽기: 제로차 미분 추정을 통한 신뢰할 수 있는 블랙박스 LLM 지문 인식 연구

문제 정의

거대 언어 모델(LLM)의 개발에는 막대한 투자가 필요하므로, 이는 매우 가치 있는 지적 재산입니다. 그러나 무단 복제나 모델 도용을 통한 저작권 침해의 위험이 상당합니다. **LLM 지문 인식(fingerprinting)**은 모델의 기원을 검증하기 위해 고유한 시그니처를 추출하는 기술로 부상했지만, 화이트박스(white-box) 방식과 블랙박스(black-box) 방식 사이에는 결정적인 성능 격차가 존재합니다.

• 화이트박스 방식(내부 파라미터에 접근 가능)은 정적 가중치가 고유 식별자 역할을 하기 때문에 완벽에 가까운 감사 성능을 달상합니다.
• 블랙박스 방식(API 전용 접근)은 모델 출력을 비교하는 방식에 의존합니다. 저자들은 LLM 아키텍처 내의 비선형 활성화 함수(예: GELU, SiLU)의 광범위한 사용이 파라미터 정보를 점진적으로 압축하여 최종 출력에서 상당한 정보 손실을 초래하기 때문에, 이러한 방식들이 효과적이지 않다고 주장합니다.

핵속 연구 질문은 다음과 같습니다: 블랙박스 조건에서도 모델 파라미터에 대해 출력보다 더 많은 정보를 보존하는, 접근 가능한 특징(feature)이 존재하는가?

방법론: ZeroPrint

제안된 솔루션인 ZeroPrint는 원시 출력에 의존하는 대신, 모델의 그래디언트(특히 자코비안 행렬)를 지문으로 근사하는 새로운 블랙박스 지문 인식 프레임-워크입니다. 이 방법론은 **피셔 정보 이론(Fisher Information Theory)**에 근거하며 **제로차 그래디언트 추정(zeroth-order gradient estimation)**을 통해 구현됩니다.

1. 이론적 토대

저자들은 모델 출력($Y$)과 입력에 대한 출력의 그래디언트($D = dY/dX$)의 정보 함량을 공식적으로 분석합니다.

• 비선형성 병목 현상(The Nonlinearity Bottleneck): 표준 뉴럴 유닛 $Y = f(WX + K)$에서,$Y$를 관찰하려면 파라미터$W$를 비선형 함수$f$를 통과시켜야 하며, 이는 정보를 돌이킬 수 없이 압축할 수 있습니다.
• 그래디언트의 이점: 그래디언트 $D = Wf'(WX+K)$를 관찰하면 파라미터$W$를 (미분값에 의해 스케일링된 형태로) 더 직접적으로 관찰할 수 있습니다.
• 정리 1: 피셔 정보를 사용하여, 저자들은 비선형 함수의 경우 파라미터 $W$에 대한 그래디언트 $D$의 피셔 정보가 출력 $Y$의 피셔 정보보다 엄격하게 크다는 것을 증명합니다. 이는 그래디언트가 지문 인식을 위한 이론적으로 더 우수한 특징임을 입증합니다.

2. ZeroPrint 프레임워크

그래디언트는 블랙박스 환경에서 직접 접근할 수 없으므로, ZeroPrint는 텍스트 도메인에 적합하도록 조정된 제로차 추정법을 사용하여 그래디언트를 근사합니다. 과정은 세 단계로 구성됩니다.

• 단계 1: 쿼리 세트 구축

  • 기본 쿼리(Base Queries): 시스템은 안정성을 위해 설계된 $n$개의 기본 쿼리를 선택합니다. 저자들은 코드 완성 작업(예: "다음 코드를 완성하십시오: [스니펫]")을 활용하는데, 이는 코드 구조가 개방형 텍스트나 질의응답(QA) 작업에 비해 다양한 모델 간에 더 일관된 응답을 이끌어내기 때문입니다.
  • 변형된 쿼리(Perturbed Queries): 각 기본 쿼리에 대해, 사전 학습된 단어 임베딩 모델(예: GloVe)을 사용하여 의미적으로 유사한 단어로 특정 토큰을 교체함으로써 $m$개의 의미론적 변형을 생성합니다. 이를 통해 의미는 유지하면서 입력 벡터를 약간 변화시킨 "변형된" 입력을 만듭니다.

• 단계 2: 지문 생성 (제로차 추정)

  • 기본 쿼리와 그 변형 쿼리들을 대상 LLM에 제출합니다. 출력의 확률성을 완화하기 위해 각 쿼리는 $t$번 반복되며, 결과 텍스트 응답은 평균화됩니다.
  • 임베딩(Embedding): 모든 입력과 평균화된 출력은 문장 임베딩 모델(예: all-mpnet-base-v2)을 사용하여 연속적인 벡터로 변환됩니다.
  • 자코비안 추정(Jacobian Estimation): 시스템은 변형된 입력과 기본 입력 사이의 차이 벡터($\Delta x$) 및 그에 대응하는 출력 임베딩 사이의 차이 벡터($\Delta y$)를 계산합니다.
  • 회귀(Regression): 결정 불가능한 시스템을 처리하기 위해 **릿지 회귀(Ridge Regression)**를 사용하여 로컬 자코비안 행렬 $J$를 각 기본 쿼리에 대해 추정합니다($\Delta y \approx J \Delta x$). 최종 지문은 모든 기본 쿼리에 걸친 이러한 자코비안 행렬들의 요소별(element-wise) 평균입니다.

• 단계 3: 지문 비교

  • 소스 모델의 지문($J_o$)과 의심되는 모델의 지문($J_s$) 사이의 유사도는 **피어슨 상관 계수(Pearson correlation coefficient)**를 사용하여 계산됩니다. 높은 유사도 점수는 의심되는 모델이 소스 모델의 파생물일 가능성이 높음을 나타냅니다.

주요 기여

1. 이론적 통찰: 본 논문은 모델 그래디언트가 모델 출력보다 모델 파라미터에 대해 더 많은 정보를 포함하고 있음을 피셔 정보 이론을 바탕으로 공식적으로 증명함으로써, 블랙박스 지문 인식에서 출력 기반 특징에 의존하는 기존 방식에 도전합니다.
2. ZeroPrint 알고리즘: 저자들은 이산 텍스트 도메인에서 이러한 정보가 풍부한 그래디언트를 추정하는 방법을 소개합니다. 이는 의미를 보존하는 단어 치환을 통해 연속적인 섭동(perturbation)을 시뮬레이션하고 제로차 최적화 원리를 적용함으로써 달성됩니다.
3. 실증적 검증: 149개의 모델 인스턴스가 포함된 벤치마크인 LeaFBench를 통해 광범위한 실험을 수행한 결과, ZeroPrint는 기존의 비표적(untargeted) 및 표적(targeted) 방식들을 크게 능가하며 SOTA(최고 수준) 성능을 달성했습니다.

실험 결과

쿼리 제한이 모델당 200개인 LeaFBench 벤치마크에서 평가되었습니다:

• 성능: ZeroPrint는 AUC 0.720 및 pAUC 0.683을 달성하여 기존 블랙박스 베이스라인(예: LLMmap, MET, SEF, TRAP)을 능가했습니다.
• 화이트박스와의 비교: ZeroPrint는 모든 블랙박스 베이스라인보다 우수하지만, 모델 내부 정보에 직접 접근하는 화이트박스 방식인 REEF(AUC 0.896)보다는 낮은 성능을 보입니다.
• 절제 연구(Ablation Studies):
  • 변형된 쿼리 ($m$): 변형된 쿼리의 수가 증가함에 따라 성능이 크게 향상되며, $m=14$에서 정점에 도달합니다.
  • 반복 횟수 ($t$): 쿼리당 반복 횟수를 늘리면 출력 임베딩이 안정화되며, $t=20$ 부근에서 성능이 정체됩니다.
  • 쿼리 유형: 코드 완성 쿼리(HumanEval)는 QA나 일반 텍스트 완성 데이터셋보다 우수한 결과를 냈는데, 이는 구조화된 코드가 모델의 균일한 행동을 유도하기 때문입니다.
  • 임베딩 차원: 트레이드오프가 존재합니다. 차원이 클수록 더 많은 의미를 포착하지만, 더 큰 자코비안 행렬을 정확하게 추정하기 위해 더 많은 쿼리가 필요합니다.
• 강건성(Robustness): ZeroPrint는 입력 패러프레이징 공격(더 작은 LLM을 사용하여 쿼리를 재작성) 및 출력 섭동 공격(가우시안 노이즈 추가)에 대해 높은 유사도를 유지하며 탄력성을 보여주었습니다.
• 효율성: 이 방법은 모델당 약 425초가 소요되며, 이는 MET 및 SEF와 같은 여러 블랙박스 베이스라인보다 계산적으로 실용적이고 빠릅니다.

의의 및 주장

본 논문은 ZeroPrint가 신뢰할 수 있고 안전한 LLM 저작권 감사 메커니즘을 위한 중요한 진전이라고 주장합니다. 모델 출력이 아닌 추정된 그래디언트에 초점을 맞춤으로써, 비선형 LLM 아키텍처에 내재된 정보 손실 문제를 극복합니다. 저자들은 ZeroPrint가 모델 미세 조정(fine-tuning)을 필요로 하지 않고 이미 배포된 모델에 적용할 수 있는 실용적이고 비침습적인 솔루션이며, AI 생태계에서 지적 재산을 보호하는 데 있어 중요한 격차를 해소한다고 강조합니다. 이 연구는 그래디언트 기반의 특징이 화이트박스와 블랙박스 지문 인식 사이의 성능 격차를 줄이는 핵심임을 시사합니다.